케이사인, 전기차 충전기 해킹 취약점 실시간 시연…국제 보안 표준 논의

케이사인이 국제 충전표준기구 OCA Plugfest에서 실무진에 EV 충전기 해킹 시연을 선보인 후 기념촬영을 하고 있다(제공=케이사인) (사진= 케이사인 제공)

정보보안 기업 케이사인(대표 구자동, 최현철)이 전기차 충전 국제표준을 관장하는 OCA(Open Charge Alliance) 실무진과 만나 국가 연구개발 과제로 개발 중인 ‘EV 충전 프로토콜 보안 퍼저(Fuzzer)’ 기술을 시연했다고 9월 2일 밝혔다. 이번 시연은 국내에서 열린 OCA 플러그페스트(상호운용성 시험행사) 기간 중 진행됐다.

충전 중 취약점 실시간 재현

케이사인은 OCPP 1.6 프로토콜의 DataTransfer 메시지를 활용해 충전기 소프트웨어의 스택 버퍼 오버플로 취약점(CWE-121)을 이용한 원격 코드 실행 과정을 공개했다. 대기 상태에서는 공격이 거부되지만, 충전이 진행 중인 상태에서는 취약점이 발현되어 제어 흐름이 탈취되는 과정을 시각적으로 입증했다. 이는 2024년 국제 해킹대회 ‘Pwn2Own Automotive’에서 공개된 취약점 사례를 자체 검증 환경에서 재현한 것이다.

국제 보안 가이드 연계 및 후속 논의

OCA 측은 시연 기술을 높게 평가하며, 현재 개정 중인 ‘Security Operating Guide’의 요구사항 항목을 케이사인 퍼저로 검증할 수 있는지 매핑해달라고 요청했다. 양측은 향후 충전 업계 대상 보안 시험 행사 공동 개최, 국내 시험인증기관 연계, 국제 해킹대회 참가 등을 논의했다.

항목	내용
개발 과제	전기자동차 충전기 보안위협 대응 기술 개발
주관 부처	과학기술정보통신부, 정보통신기획평가원(IITP)
시연 기술	EV 충전 프로토콜 보안 퍼저(Fuzzer)
주요 취약점	OCPP 1.6 기반 원격 코드 실행(RCE)

충전 인프라 보안의 중요성에 대해 OCA 측은 OCPP 인증이 곧 보안성을 담보하는 것은 아니라고 지적하며, 별도의 보안 시험 체계 필요성을 강조했다. 케이사인 연구진은 충전기가 전력망의 접점인 만큼, 이번 시연을 통해 국제 표준화 논의에 국내 보안 기술을 반영하는 계기를 마련하겠다고 밝혔다.

출처 : 케이사인 보도자료(뉴스와이어)

· · · · · · · · · ·

관련기사

▶ AI로 정교해진 해킹 공격 기업 전산망 방어 뚫린다

▶ 여의시스템, 9월 8일 'AI 팩토리 OT 보안 전략' 웨비나 개최

▶ 에버스핀 윤성욱 CTO가 밝힌 보안 전략…‘스스로 변하는 기술’로 초격차 확보

· · · · · · · · · ·